VPN аркылуу NAS башкаруу: атты сактаңыз, жарыя порттон баш тартыңыз
Башкаруу бетине туннель аркылуу жетиңиз, жаңы жарыя порт аркылуу эмес. Чыныгы атты чечиңиз, сертификатты ага дал келтириңиз жана бир булактан бир кызматка уруксат бериңиз.
NAS башкаруу бети үйдө иштейт жана администратор сапарга чыккан учурда иштебей калат, ошондуктан бирөө порт ачат да, маселе купуялуулук менен бирге жоголот. Бул үчүн жакшыраак форма бар. Бетти ордунда калтырыңыз, жеткиликтүүлүктү туннель камсыз кылсын, ал эми документтеген нерсеңизди кокустан жооп берүүчү түзмөк дареги эмес, аталган уруксат жолу бар толук URL кылып жасаңыз. Төмөнкү ар бир чечим аттан сертификатка жана жалгыз уруксат берилген портко чейин ушундай жазуудан келип чыгат.
Долбоорлоо бирдиги — дарек эмес, URL
Кирүүнү порту жана схемасы менен толук URL катары жазыңыз, анан шарттарды тиркеңиз: ким пайдалана алат, кайсы тармактан жана кайсы жол менен. Мисал катары тек уруксат берилген жеке кардарларга жарыяланган https://nas.corp.example:8443 болушу мүмкүн, мында ат жана порт түзмөк чындыгында угуучу нерсени билдирет.
Бул алкак чечимдерди эрте мажбурлайт. URL атты билдирет, ат сертификатты билдирет, ал эми сертификат ишеним келишимин билдирет. Дарек алардын эч бирин билдирбейт, ошондуктан тек дарек варианты браузердин биринчи эскертүүсүнө чейин жашайт да, кийин аны басып өтүү адат болуп калат.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Сертификат берилген атты сактаңыз
Кардарга NASтын жеке дарегине уруксат берилген маршрут керек, ал эми жеке DNS конфигурациясы көздөлгөн хост атын ошол дарекке чече алат жана HTTPS кызматы күткөн атты сактайт. Эки жарымы тең маанилүү: маршрут пакеттерди ошол жерге жеткирет, ат кардарга кайсы инсанды текшерүү керектигин айтат.
Анын ордуна сандык даректи теруу инсан талабын өзгөртөт. RFC 9525 кардар байланышкысы келген атты кызмат сунуштаган инсандан бөлөт, ошондуктан nas.corp.example үчүн берилген сертификат браузер 10.20.0.15 дарегине багытталганда мыйзамдуу түрдө ишке ашпай калышы мүмкүн. Эскертүү туура, ал эми оңдоо — ат, өзгөчөлүк эмес.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleТуннелди күнөөлөөдөн мурун экөөнү тең иштетиңиз. Биринчиси жеке ат сиз ойлогон жерде чечилерин көрсөтөт, экинчиси кызмат чындыгында кайсы сертификатты жана кандай альтернативдик субъект аттарын сунуштаарын көрсөтөт. Жеке CA толук башкарылуучу тандоо болушу мүмкүн; адат болбошу керек нерсе — адамдарды инсан эскертүүлөрүн этибарга албоого үйрөтүү.
Башкаруу жолун чектеңиз
Шлюзде да, NASта да көздөлгөн булактан так башкаруу кызматына уруксат бериңиз. Бул сүйлөм тиштеген бир деталды жашырат: маршрутталган кардар пулу жана булакты которуучу шлюз NASка ар башка булак даректери менен келет, ошондуктан бири үчүн жазылган уруксат эрежеси экинчиси үчүн үнсүз ишке ашпайт.
NASка кайтаруу жолу да керек, ал эми браузер форум жазуусунан алынган өндүрүүчүнүн демейки маанисинин ордуна конфигурацияланган портту жана схеманы колдонушу керек. Түзмөккө жетүү — анын ар бир портуна жетүүгө уруксат эмес. Pingге жооп берген түзмөк менен жүктөлгөн башкаруу бетинин ортосундагы ажырым — эки өзүнчө эреженин ортосундагы ажырым. Аларды эки түшүндүрмө менен эки эреже катары жазыңыз, кийинки адам экөөнүн эмне үчүн бар экенин көрсүн.
VPN уруксатын NAS артыкчылыгынан бөлүңүз
Туннелден өткөрүү — түзмөктү башкарууга уруксат берүү менен бирдей эмес. Файл сактоого мыйзамдуу муктаж болгон колдонуучу экөө бир шлюздун артында турганы үчүн түзмөк администрациясын мураска албашы керек, ал эми NASтын эсеп модели — ошол бөлүнүүнү камсыз кылуу керек болгон жер.
Жалпы же которулган чыгуу дареги да жеке администраторду аныктай албайт. Эгер аудит изи адамдын атын аташы керек болсо, инсан көпчүлүк колдонгон туннелдин булак дарегинен эмес, аутентификацияланган эсептен келиши керек.
Кокустан эмнени жарыялоо керек эмес
Жарыя тескери прокси жана өндүрүүчүнүн релеси — экөө тең чыныгы архитектуралар жана ар бири өзүнүн ишеним жана таасир чечимдерин алып жүрөт. Экөө тең администратор үйдөн сыртта болгондуктан зарыл болбойт жана экөө тең медиа серверди же файл бөлүшүүнү ачуунун кыйыр таасири катары көрүнбөшү керек.
Төрт нерсени документтеп, токтоңуз: жеке ат, ал картага түшкөн угуучу, аны пайдаланууга уруксат берилген топ жана туннель жеткиликсиз болсо калыбына келтирүү жолу. Ошол төртөө окуяны карап чыгуу сурай турган суроолорго да жооп берет, бул портту багыттоо бетинин скриншотуна тиешелүү эмес. Акырында сизде ар бир функциясы интернетке караган түзмөк эмес, бир туруктуу административдик кирүү чекити болот.